JVNDB-2026-005963

Linux FoundationのInspektor Gadgetにおける複数の脆弱性

Inspektor Gadgetは、eBPFを使用してKubernetesクラスターおよびLinuxホストのデータ収集とシステム検査を行うためのツールおよびフレームワークのセットです。`ig`バイナリはカスタムガジェットOCIイメージを生成するために使用されるイメージビルド用のサブコマンドを提供します。この機能の一部は`inspektor-gadget/cmd/common/image/build.go`ファイルに実装されています。`Makefile.build`ファイルはビルドプロセス中に使用されるMakefileのテンプレートであり、このファイルにはユーザーが制御可能なデータが安全でない方法で含まれており、特に一部のパラメータがMakefile内のコマンドに適切なエスケープ処理なしで埋め込まれています。バージョン0.48.1より前のこの実装はコマンドインジェクションに脆弱であり、`buildOptions`構造体の値を制御できる攻撃者はビルドプロセス中に任意のコマンドを実行できます。この脆弱性を悪用できる攻撃者は、`ig`コマンドが実行されるLinuxホスト上で任意のコマンドを実行でき、`--local`フラグを付けてイメージをビルドする場合や、`--local`フラグが付けられていない場合は`ig`によって呼び出されるビルドコンテナ上でそれを実行可能です。`buildOptions`構造体は`ig image build`コマンドに渡されるYAMLガジェットマニフェストから抽出されるため、攻撃者は`ig image build`コマンドに渡される完全な`build.yml`ファイルまたはそのオプションのいずれかを制御する必要があります。これは通常、正当性を検証するために信頼できないガジェットをビルドするCI/CDシナリオで発生する可能性があります。バージョン0.48.1でこの問題は修正されました。

Linux Foundation

• Inspektor Gadget 0.48.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Command Injection in Makefile.build  Advisory  inspektor-gadget/inspektor-gadget  GitHub

1. コマンドインジェクション(CWE-77) [その他]
2. OSコマンドインジェクション(CWE-78) [その他]

1. CVE-2026-24905

1. National Vulnerability Database (NVD) : CVE-2026-24905
2. 関連文書 : cmd: Remove possibility to customize CFLAGS from build.yaml.  inspektor-gadget/inspektor-gadget@7c83ad8  GitHub

• [2026年03月05日]
    掲載